Utkast – ikke gjennomgått av jurist. Versjon 0666da8fd70d.

Databehandleravtale (GDPR art. 28)

UTKAST – må gjennomgås av jurist før bruk

mellom [Kunde AS], org.nr [___] («Behandlingsansvarlig») og [NorCRM-leverandør AS], org.nr [___] («Databehandler»). Avtalen er et vedlegg til [Avtale/brukervilkår av dato] («Hovedavtalen»).

1. Formål og omfang

Databehandler leverer og drifter NorCRM («Tjenesten») i en avskilt instans for Behandlingsansvarlig og behandler da personopplysninger på vegne av Behandlingsansvarlig. Behandlingen er begrenset til å levere, drifte, sikkerhetskopiere, støtte og feilrette Tjenesten.

2. Behandlingens art, kategorier og varighet

• Art: lagring, tilgjengeliggjøring, backup, teknisk support, sletting.
• Registrerte: Behandlingsansvarliges kunder, leads, ansatte/brukere, [pasienter/klienter/gjester/kandidater/elever – tilpass til bransje].
• Kategorier av personopplysninger: se vedlegg A (behandlingsoversikt for valgt bransjepakke). Særlige kategorier (helse, ev. fødselsnummer): [ja/nei – kun hvis Behandlingsansvarlig bruker pakke/felt som lagrer dem; da gjelder tilleggstiltak i vedlegg B].
• Varighet: Hovedavtalens løpetid, pluss avviklingsperioden i punkt 11.

3. Behandlingsansvarliges plikter

Behandlingsansvarlig har rettslig grunnlag, gir informasjon til de registrerte, bestemmer hvilke opplysninger som registreres, og styrer brukere og roller i Tjenesten.

4. Databehandlers plikter

1. Behandle opplysningene kun etter dokumenterte instrukser fra Behandlingsansvarlig (denne avtalen og Hovedavtalen) – også ved overføring til tredjeland, med mindre EØS-/nasjonal rett krever noe annet (da varsles Behandlingsansvarlig om mulig).
2. Sikre at personer med tilgang er underlagt taushetsplikt.
3. Gjennomføre tiltakene i vedlegg B.
4. Bistå Behandlingsansvarlig med å besvare de registrertes rettigheter (innsyn, retting, sletting, portabilitet), DPIA og forhåndsdrøfting. Tjenesten har verktøy for uttrekk («Last ned persondata (JSON)») og sletting («Slett og glem») per kunde; Databehandler yter utover dette bistand mot [timepris/inkludert i pris].
5. Varsle Behandlingsansvarlig uten ugrunnet opphold og senest innen [24–48] timer etter å ha blitt kjent med et brudd på personopplysningssikkerheten, med informasjon om art, omfang, sannsynlige konsekvenser og tiltak.
6. Gi nødvendig dokumentasjon og tillate revisjoner/inspeksjoner, med [30] dagers varsel, ikke oftere enn [én gang i året] uten særlig grunn, og med kostnader [fordelt iht. Hovedavtalen]. Revisjonsrapport/sertifisering kan erstatte.
7. Føre behandlingsoversikt for databehandler (art. 30 nr. 2).

5. Underdatabehandlere

Behandlingsansvarlig gir [generelt skriftlig samtykke / spesifikt samtykke] til underdatabehandlerne i vedlegg C. Ved nye/utskiftede underdatabehandlere varsles Behandlingsansvarlig minst [30] dager i forveien og kan protestere; ved uenighet kan avtalen sies opp uten kostnad. Databehandler pålegger underdatabehandler samme forpliktelser og er ansvarlig overfor Behandlingsansvarlig. (Tjenester Behandlingsansvarlig selv kobler til – egen SMTP-/IMAP-server, Twilio/SMS-konto – er Behandlingsansvarliges egne databehandlere.)

6. Overføring til tredjeland

Databehandler lagrer og behandler data i [Norge/EØS – sted]. Overføring utenfor EØS skjer ikke, med mindre det følger av tjenester Behandlingsansvarlig selv kobler til (f.eks. Twilio), eller det avtales skriftlig med gyldig overføringsgrunnlag (SCC/tilstrekkelighetsvedtak).

7. Sikkerhet

Se vedlegg B. Databehandler vurderer løpende risikoen og oppdaterer tiltakene; vesentlig svekkelse er ikke tillatt.

8. Sikkerhetskopier

Daglig sikkerhetskopi, oppbevart etter planen i vedlegg B. Slettede data kan finnes i sikkerhetskopier til de roteres ut (høyst [12 måneder]); gjenopprettede data slettes på nytt på instruks.

9. Ansvar

Ansvar følger Hovedavtalen. [Jurist: vurder om erstatningsbegrensning kan gjelde for brudd på denne avtalen og forholdet til GDPR art. 82.]

10. Taushetsplikt

Gjelder også etter opphør. [Helsebransjer: vurder tilleggsbestemmelser om taushetsplikt og helseopplysninger/normen for informasjonssikkerhet.]

11. Opphør

Ved opphør, etter Behandlingsansvarliges valg: (a) leveres alle data ut i [JSON/CSV/SQLite-kopi] innen [14] dager, og (b) alle data slettes innen [30] dager etter bekreftet utlevering, bortsett fra opplysninger Databehandler er lovpålagt å beholde. Sikkerhetskopier roteres ut innen [___]. Skriftlig sletteerklæring sendes på forespørsel.

12. Lovvalg og tvister

Norsk rett, [tingrett]. Ved motstrid går denne avtalen foran Hovedavtalen på personvernspørsmål.

Sted/dato: ____________ Behandlingsansvarlig: ____________ Databehandler: ____________

Vedlegg A – Opplysninger og formål

Se legal/behandlingsoversikt.md, avsnitt for valgt bransjepakke. Pakke: [bransje-id].

Vedlegg B – Tekniske og organisatoriske tiltak (utkast – bekreft at hvert punkt faktisk er innført før signering)

Merk: appen har ikke 2-faktor-innlogging eller integrasjon mot BankID/SSO [verifiser mot SECURITY-dokumentasjon]; dette må vurderes for bransjer med helse-/juridiske data.

Vedlegg C – Underdatabehandlere